Les requêtes secrètes GET peuvent-elles être forcées brutalement?

Kargari

2018-06-19 09:57:36 UTC

view on stackexchange narkive permalink

Dites, j'ai sur mon serveur une page ou un dossier que je veux garder secret.

  example.com/fdsafdsafdsfdsfdsafdrewrew.html

  example.com/fdsafdsafdsfdsfdsafdrewrewaa34532543432/admin/index.html

Si la partie secrète du chemin est assez longue, puis-je supposer qu'il est sûr d'avoir une page ou une zone secrète et qu'il sera difficile de deviner ou de forcer brutalement?

Quels sont les problèmes avec cette approche en général?

Notez que je ne demande pas comment faire cela correctement, mais quels pourraient être les problèmes avec cette approche, le cas échéant.

à condition que vos machines soient sécurisées (https, bon wifi, etc.) et que vous ne liez jamais publiquement à l'URL secrète, alors une longue URL statique serait très difficile à deviner pour un étranger.

oh, et vous avez désactivé les listes de répertoires et les pages "d'erreur intelligente" qui suggèrent des chemins ...

Notez que cette pratique est considérée comme "assez bonne" par certains services Web bien établis tels que Google Docs (qui a une fonction de partage par lien) et Overleaf (un éditeur Latex en ligne collaboratif).

@FedericoPoloni: Google va probablement suivre les demandes en masse et éventuellement les bloquer.Sans cela en place, il devient plus susceptible de réussir par bruteforcing (par rapport à la longueur de l'URL bien sûr).

Certains sites Web le font, par exemple pour les liens de réinitialisation de mot de passe.Votre pari le plus sûr, si vous décidez d'aller dans cette voie, est de faire du secret un paramètre GET (donc `index.html? Secret = hjasdhasdhasdasd`) pour éviter la mise en cache et que les robots tombent accidentellement sur votre lien, et le rendent ** temporaire **

Les jetons @BgrWorker dans les liens de réinitialisation de mot de passe doivent être utilisés une seule fois et supprimés par la suite.Ce que OP demande est une valeur fixe qui peut être réutilisée, ce n'est pas exactement la même chose

Tant que le chemin n'a jamais été rendu public, ce serait assez difficile à deviner, mais il s'agit de la sécurité par l'obscurité, il n'y a donc rien de vraiment sécurisant l'URL.Mon conseil serait d'étendre un peu cela et de rendre le hachage de l'url dynamique, de sorte que tout ce que index.html a été frappé, ce serait sur un chemin différent, mais connu, plus facile à faire dans certains frameworks que d'autres.

si c'est sur https, ce n'est pas aussi grave que de passer un mot de passe, ou quelque chose qui peut également être utilisé à d'autres fins.

@FedericoPoloni Google Docs n'autorise-t-il pas l'accès à certains comptes, de sorte que d'autres ne peuvent pas y accéder même s'ils devinent l'URL?Et Overleaf V2 maintient le partage de lien désactivé par défaut.

@GoodDeeds Share-by-link est l'une des options de partage autorisées sur Google Docs.Vous pouvez également décider de partager sur des comptes spécifiques, mais c'est une chose différente.

C'est fondamentalement la sécurité par l'obscurité qui - en soi - n'est jamais suffisante.

@CompuChip Non, ce n'est pas le cas.Pas plus qu'un mot de passe n'est «la sécurité par l'obscurité» car tout le monde ne connaît pas le mot de passe.

@DrEval, j'ai peut-être mal compris la question à l'époque, mais ce que j'ai lu, c'est que OP veut juste obscurcir la page en rendant l'URL plus difficile à deviner plutôt que de la protéger correctement, par exemple.en utilisant un mot de passe.

@CompuChip Si l'URL est suffisamment sécurisée, elle "devient" le mot de passe.Ce n'est toujours pas sûr, car ce n'est pas un bon moyen de transmettre des mots de passe, mais ce n'est pas la sécurité par l'obscurité.

Si vous avez un document robots.txt qui peut donner des URL, mais si elles sont censées être secrètes, il est probable que vous ne les mettiez jamais dans robots.txt pour commencer.

Si quelqu'un peut consulter les journaux du serveur Web, il peut trouver toutes ces URL intéressantes.

Également lié: [Dans quelle mesure est-il improbable qu'un lien Google Doc soit deviné?] (Https://security.stackexchange.com/questions/29449/how-unlusted-is-it-that-a-google-doc-link-est-deviné)

Visitez ["la sécurité par l'obscurité est une mauvaise idée"] (https://stackoverflow.com/questions/533965/why-is-security-through-obscurity-a-bad-idea).